Minikomplekt: juurdepääsu- ja võrguturve – VKE

Minikomplekt: juurdepääsu- ja võrguturve – VKE pakub tugevat, eelnevalt ühtlustatud kuuest küberturbe juhtimise dokumendist koosnevat komplekti, mis on loodud spetsiaalselt väikestele ja keskmise suurusega ettevõtetele (VKEdele). Arvestades organisatsioonide eripäraseid väljakutseid, kellel puuduvad pühendunud IT- või turbeosakonnad, on iga komplekti poliitika lihtsustatud kasutama rolle, mis on VKEdes tavapäraselt olemas, nagu tegevjuht, osakonnajuhid ja välised tarnijad. Kõik dokumendid on hoolikalt kaardistatud uusimate ISO/IEC 27001:2022 ja ISO/IEC 27002:2022 nõuetega ning seotud raamistikega nagu NIST SP 800-53 Rev.5, EL GDPR, EL NIS2, EL DORA ja COBIT 2019. Komplekt sisaldab juurdepääsukontrolli poliitikat, mis määrab, kuidas hallatakse juurdepääsu IT-süsteemidele, rajatistele ja andmetele selgete kinnitamisprotsesside, ametlike ülevaatuste ja vähimate õiguste põhimõtte jõustamise kaudu. Kasutajakonto ja privilegeeritud juurdepääsu halduse poliitika laiendab seda, tagades tugevad kontrollimeetmed konto juurdepääsuõiguste andmise, muutmise ja kasutusest kõrvaldamise üle, keelates jagatud autentimisandmed ning nõudes unikaalseid, jälgitavaid identiteete, mida toetavad ranged auditijäljed ja auditilogimine. Mõlemad on kirjutatud organisatsioonidele, kus tegevjuht või väline IT-funktsioon tegutseb süsteemiomanikuna või kinnitava volitusena, vähendades keerukust ja tagades, et kontrolli saab säilitada ka piiratud sisemiste ressurssidega. Haavatavuste halduse ning paikade ja püsivara halduse poliitika määratleb ootused haavatavuste tuvastamiseks, hindamiseks ja parandusmeetmete rakendamiseks kogu ettevõtte IT-varade ulatuses, sh tööjaamad, serverid, pilvtaristu ja tarkvara. Nõutud on õigeaegne süsteemide paikamine, kvartaalne aruandlus ja selged erandite käsitlemise protsessid, kus vastutus on jagatud tegevjuhi ja IT-teenuseosutajate vahel. Lõppseadmete taristu kaitsmiseks annab lõppseadmete kaitse – pahavaratõrje poliitika nõuded viirusetõrje juurutamiseks, oma seadme kasutamise (BYOD) turvaks, seireks ja reageerimiseks, koos tehniliste ja protseduuriliste juhistega, mis on kohandatud VKE konteksti, sh heakskiitmata tööriistade vältimine ja regulaarne turvateadlikkuse koolitus pahavara teemal. Kriitilisi võrgukontrolle käsitletakse võrguturbe poliitika kaudu, mis kirjeldab turvaliste kaabeldatud, traadita ja kaugjuurdepääsukanalite disaini, võrgu segmenteerimist ja isoleerimist, seiret ning jõustamist. Poliitika katab nii füüsilise taristu kui ka loogilised võrgud, nõudes tugevaid tulemüürikonfiguratsioone, virtuaalse privaatvõrgu (VPN) kasutamist koos mitmefaktorilise autentimisega (MFA), regulaarseid turvaauditeid ning autoriseerimata/plaaniväliste muudatuste või anomaaliate tuvastussüsteemide tuvastatud võrgukäitumise aruandlust. Logimis- ja seirepoliitika tagab, et kõik kriitilised tegevused alates administratiivsetest muudatustest kuni automaatsete teavituste ja tehniliste hoiatusteni on auditilogimise kaudu logitud, säilitatud ning regulaarselt logide läbivaatamise käigus üle vaadatud, võimaldades VKEdel täita nii operatiivseid kui ka õiguslikke kohustusi aruandekohustuse, uurimise ja vastavusauditite jaoks. VKE-spetsiifiliste poliitikatena (mida tõendab nende nummerduses olev „S“ ja rolliviited) rõhutab iga dokument praktilist ja realistlikku rakendamist, kasutades registreid, lihtsaid kinnitustöövooge ja kontrollnimekirju suurte meeskondade struktuuride või spetsialiseeritud ametikohtade asemel. Koos pakub see komplekt tervikliku, rakendatava ja auditeeritava aluse küberturbe parimate tavade jaoks väikestes ja keskmise suurusega ettevõtetes.